Privacywetgeving on Arpokrat

SignalTrace: Europa exporteert het toezicht dat het zichzelf niet toestaat

Tue, 01 Sep 2026 00:00:00 +0000

Een grijze sedan rijdt met 110 km/u onder een snelwegportaal door. De camera op de mast leest het kenteken, zet er een tijdstempel op, slaat het op. Niets nieuws: dit systeem bestaat al twintig jaar en staat in tienduizenden exemplaren opgesteld, in Noord-Amerika net zo goed als in Europa.

Maar als dat portaal is uitgerust met de module die de Italiaanse groep Leonardo sinds juni 2026 verkoopt, heeft het zojuist nog iets anders vastgelegd. De iPhone van de bestuurder. De draadloze oordopjes van de passagier. De smartwatch op het dashboard. De autoradio. De verbonden sleutelhanger in het dashboardkastje. De bandenspanningssensoren van alle vier de banden. De toegangspas die in een jas is blijven zitten. En als er achterin een hond ligt te slapen, ook diens identificatiechip.

Een tiental identificatoren, een kenteken, een positie, een tijdstip. Herhaal dat bij elk portaal in het netwerk en je volgt geen auto meer: je volgt mensen, en je weet met wie ze zich verplaatsen.

Wat het apparaat werkelijk doet

Het product heet SignalTrace. Het wordt verkocht door Leonardo US Cyber and Security Solutions en vult de reeks ELSAG aan, een van de meest verspreide lijnen automatische kentekenlezers op de Amerikaanse markt. Het bestaan ervan werd op 8 juni 2026 onthuld door Joseph Cox in 404 Media, op basis van een productblad van de fabrikant.

Het beslissende punt past in één zin: het gaat niet om nieuwe camera’s. SignalTrace is een radiosensor die wordt toegevoegd aan reeds geïnstalleerde kentekenlezers. De mast verandert niet, de locatie verandert niet, het silhouet van de apparatuur langs de weg verandert niet. Wat verandert, is waar de apparatuur naar luistert.

De sensor registreert de identificatoren die onversleuteld worden uitgezonden door de Bluetooth-, wifi- en RFID-protocollen van de apparaten in het voertuig. Een technisch punt dat vaak verkeerd wordt begrepen: er wordt geen enkel apparaat gehackt en er wordt geen enkel lek misbruikt. Een Bluetooth- of wifi-apparaat zendt voortdurend ontdekkingsframes uit, omdat die protocollen zo zijn ontworpen. Je oordopjes kondigen hun aanwezigheid aan om door je telefoon gevonden te worden, en die telefoon peilt op zijn beurt de omgeving af op zoek naar de netwerken die hij kent. Die uitzendingen zijn per constructie openbaar, en elke ontvanger binnen bereik hoort ze.

Leonardo geeft overigens aan dat het systeem met of zonder kentekenlezer werkt, ook binnenshuis, en een voertuig herkent waarvan het kenteken is afgeplakt of verwijderd.

De retrofit is het echte politieke onderwerp. Een nieuw cameranetwerk installeren leidt tot een stemming, een beraadslaging, soms een rechtszaak. Een printplaat toevoegen in een behuizing die al is goedgekeurd, leidt tot niets. De toezichtcapaciteit verandert van aard zonder publiek debat, omdat er materieel niets nieuws te zien is.

Van het voertuig naar de persoon, en van de persoon naar de groep

Een kentekenlezer beantwoordt één vraag: waar was dit voertuig. SignalTrace voegt er twee aan toe: wie zat erin, en met wie.

Leonardo maakt daar geen geheim van, het is het verkoopargument. Het systeem vormt wat de documentatie een elektronische vingerafdruk noemt, een geheel van identificatoren die “vaak samen worden uitgezonden”. Het voorbeeld van de fabrikant is expliciet: in een hele stad zal slechts één voertuig een iPhone 13rev2, een Audi-autoradio, een Bose-koptelefoon, een Garmin-horloge, een sleutelzoeker en het kenteken ABC-1234 combineren.

Het product volgt niet alleen voertuigen. Het produceert automatisch een relatiegraaf tussen personen, zonder dat iemand ook maar de geringste verdenking heeft hoeven formuleren.

Daar vindt de kwalitatieve sprong plaats. Door de apparaten te correleren die regelmatig samen reizen, bouwt het systeem mechanisch een sociale graaf op. Twee telefoons die elke ochtend in dezelfde auto belanden, zijn carpoolen, of een relatie die geen van beiden openbaar wil maken. Vijftig apparaten die op dezelfde plek op hetzelfde tijdstip worden opgevangen, zijn een samenkomst: een demonstratie, een kerkdienst, een vakbondsvergadering of een wachtrij voor een kliniek.

Geen van deze conclusies vereist toegang tot de inhoud van een communicatie. Ze volgt uit een nabijheidstabel, standaard, over de hele rijdende bevolking en niet over aangewezen doelwitten. Dat is schuld door associatie, industrieel geproduceerd, nog vóór enig onderzoek. Tom Bowman, jurist bij het Center for Democracy & Technology, vat het probleem samen in TechNewsWorld: wat het instrument nuttig maakt om een echte verdachte te volgen, maakt het even goed in staat om alle andere automobilisten te volgen, van wie er niet één heeft ingestemd met registratie van zijn apparaten.

Leonardo brengt twee argumenten in: het systeem ontsleutelt noch leest de inhoud van communicatie, en het identificeert personen niet uit zichzelf. Beide beweringen kloppen, en beide gaan langs de kwestie heen. De gezochte inlichting was nooit de inhoud, die zit in het locatiemetadatum, dat onthullender is dan een bericht. Wat de identificatie betreft, erkent de fabrikant zelf dat een rechercheur een elektronische handtekening aan een kenteken kan koppelen en vervolgens via de kentekenregisters bij de houder kan uitkomen.

Een Amerikaans recht dat voor iets anders is geschreven

In de Verenigde Staten bestaan er deelstaatwetten die kentekenlezers reguleren, en sommige stellen strenge eisen aan bewaartermijnen en toegangsdoeleinden. Maar ze zijn allemaal opgesteld rond één nauwkeurig object: het beeld van een kentekenplaat. Geen enkele anticipeert op het opvangen van identificatoren van persoonlijke apparaten door dezelfde apparatuur.

Die discrepantie creëert geen onwettigheid maar een grijs gebied, dat de verkoper beter uitkomt. Een politiedienst kan zonder te liegen volhouden dat zijn kentekenleesprogramma is toegestaan en conform is, terwijl het onder hetzelfde regime voortaan gegevens van een volstrekt andere aard verzamelt. Leonardo beschikt bovendien over federale contracten, bij het Special Operations Command en de General Services Administration, oftewel een inkoopkanaal dat lokale goedkeuringen grotendeels omzeilt.

Het constitutionele debat is net in beweging gekomen, en precisie is hier nodig omdat de stand van het recht deze zomer is veranderd. In januari 2026 oordeelde een federale rechtbank in Virginia in de zaak Schmidt v. City of Norfolk dat het Flock-cameranetwerk van de stad geen doorzoeking vormde in de zin van het vierde amendement, omdat het niet alle verplaatsingen van de inwoners bestreek. Tegen de uitspraak loopt hoger beroep bij het Fourth Circuit, waar de ACLU zich heeft gevoegd.

Vervolgens wees het Hooggerechtshof op 29 juni 2026 Chatrie v. United States. Met vijf stemmen tegen vier oordeelde het, bij monde van rechter Kagan, dat het verkrijgen door de politie van de locatiegegevens van een telefoon een doorzoeking vormde, aangezien iemand een redelijke privacyverwachting behoudt ten aanzien van die gegevens, ook wanneer ze bij een derde berusten en over een korte periode. Het arrest verlengt Carpenter v. United States uit 2018 en verzwakt de derdenleer, zoals het CDT heeft opgemerkt.

De precieze reikwijdte van Chatrie voor SignalTrace is niet uitgemaakt, en het zou onvoorzichtig zijn het tegendeel te beweren: het arrest gaat over gegevens die bij Google zijn opgevraagd, niet over rechtstreekse opvang door een politiesensor in de openbare ruimte. Maar het vestigt de redenering die telt, namelijk dat de gevoeligheid van een locatiegegeven niet afhangt van wie het bezit.

De Europese vraag, die de echte vraag is

Hier wordt het dossier ongemakkelijk voor Europa. Leonardo is geen Amerikaanse leverancier, maar een Italiaanse groep met een notering in Milaan waarvan het Italiaanse ministerie van Economie en Financiën de grootste aandeelhouder is, met ongeveer 30 % van het kapitaal en de bevoegdheid om de meerderheid van de raad van bestuur te benoemen. De Italiaanse staat is geen passieve aandeelhouder van dit product.

Eerst het technische punt

In het Europese recht is een apparaatidentificator een persoonsgegeven. Dat is geen leerstellige opvatting maar het vaste standpunt van de toezichthouders. De CNIL behandelt het MAC-adres uitdrukkelijk als zodanig in haar leer over systemen voor bezoekersstroommeting, en staat het verzamelen ervan in de openbare ruimte alleen onder strikte voorwaarden toe: anonimisering binnen enkele minuten met een hoog botsingspercentage tussen individuen, of betrouwbare pseudonimisering gevolgd door vernietiging binnen vierentwintig uur, bij gebreke waarvan toestemming verplicht wordt. Diezelfde leer stelt dat mensen uitnodigen hun wifi uit te zetten geen aanvaardbare vorm van bezwaar is.

Het Hof van Justitie van de Europese Unie heeft op 4 september 2025 in de zaak EDPS tegen GAR (C-413/23 P) verduidelijkt dat het persoonlijke karakter van een gepseudonimiseerd gegeven wordt beoordeeld aan de hand van de redelijkerwijs inzetbare middelen tot heridentificatie. Welnu, hier is de houder een politieautoriteit, die over de kentekenregisters beschikt. De middelen tot heridentificatie zijn niet hypothetisch, ze liggen in het kantoor ernaast.

De nuance die alles verandert

Het zou onjuist zijn te schrijven dat SignalTrace “in Europa illegaal zou zijn”, en een juridisch geschoolde lezer zou dat meteen opmerken. Een verwerking door een bevoegde autoriteit met het oog op het voorkomen en vervolgen van strafbare feiten valt niet onder de AVG. Ze valt onder richtlijn (EU) 2016/680, de zogeheten richtlijn politie en justitie, die door elke lidstaat afzonderlijk is omgezet, in Frankrijk in titel III van de privacywet. De CNIL herinnert eraan dat dit regime autonoom is, met eigen rechtsgronden en eigen rechten.

De juiste vraag is dus niet die van de abstracte legaliteit, maar die van de voorwaarden. Onder dat regime zou zo’n systeem een uitdrukkelijke nationale rechtsgrondslag veronderstellen, bepaalde doeleinden, een aangetoonde noodzaak, een begrensde bewaartermijn, een effectbeoordeling en onafhankelijk toezicht. In Frankrijk zijn kentekenlezers zo geregeld: de artikelen L233-1 en L233-1-1 van het wetboek van binnenlandse veiligheid bevatten een limitatieve lijst van strafbare feiten die het gebruik ervan openen, en de bewaartermijn blijft een van de kortste van de Unie, in beginsel vijftien dagen, ook al probeert een wetsvoorstel van de Senaat die te verlengen.

Dat is het wezenlijke verschil met de Amerikaanse situatie. In de Verenigde Staten regelt de wet een object, de plaat, en geldt zwijgen over apparaatidentificatoren als toestemming. In Europa regelt de wet doeleinden en categorieën van gegevens, en geldt dat zwijgen eerder als verbod, bij gebrek aan een uitdrukkelijke rechtsgrondslag. De aan de overkant van de Atlantische Oceaan geconstateerde leemte bestaat hier niet in dezelfde vorm. Niet dat Europa deugdzamer is: zijn juridische techniek is omgekeerd.

Wat de bescherming dan waard is

Blijft de vraag waar dit artikel om draait. Wat is een Europese regelgevende bescherming waard wanneer een Europees bedrijf, gecontroleerd door een lidstaat, buiten Europa een capaciteit verkoopt die het thuis niet zonder een nieuwe wet zou mogen inzetten?

De tegenwerpingen verdienen het serieus genomen te worden. Een industrieel is niet verantwoordelijk voor het rechtskader van zijn klant: het is aan de Amerikaanse autoriteiten om te bepalen wat ze bij zichzelf toestaan. Het product wordt niet aan een dictatuur verkocht maar aan een rechtsstaat met een actief hooggerechtshof, zoals Chatrie zojuist in herinnering heeft gebracht. En het argument van industriële soevereiniteit is legitiem: als de Europese groepen zichzelf die markten ontzeggen, worden ze ingenomen door Israëlische, Amerikaanse of Chinese leveranciers, zonder dat het toezicht ook maar een meter terugwijkt, en verliest Europa daarbij zijn technologische basis.

Deze argumenten zijn ontvankelijk. Ze beantwoorden het probleem niet.

Om te beginnen omdat de Unie al heeft erkend dat de uitvoer van toezichtmiddelen geen handel is als alle andere. De verordening (EU) 2021/821 inzake producten voor tweeërlei gebruik heeft in artikel 5 een vangnetbepaling ingevoerd voor cybersurveillance-producten, omdat de wetgever heeft erkend dat een instrument dat legaal te vervaardigen is, op zijn bestemming onrechtmatig kan zijn. De beperking ervan is leerzaam: ze treedt in werking bij een risico van interne repressie of ernstige mensenrechtenschendingen, categorieën die zijn bedacht voor autoritaire regimes. Een verkoop aan een Amerikaans gemeentelijk politiekorps valt daar niet onder. Het Europese raster onderzoekt de moraliteit van de klant, nooit de aard van de verkochte capaciteit.

Vervolgens omdat zo’n product geen voorraad is die je uitverkoopt, maar een capaciteit die onderhouden wordt: ze financiert onderzoek, leidt ingenieurs op, stapelt knowhow op en creëert een geïnstalleerde basis. Op de dag dat een zware aanslag een lidstaat ertoe brengt die capaciteit op te eisen, zal het debat niet meer gaan over de wenselijkheid haar te bouwen. Ze zal bestaan, ze zal Europees zijn, ze zal volwassen zijn, en haar leverancier zal deels publiek zijn. Het argument “wij volgen alleen de markt” wordt dan circulair, aangezien de thuismarkt door de export zal zijn voorbereid.

Dat is wat een regelgevende bescherming in dit scenario waard is: ze beschermt Europeanen tegen het gebruik, niet tegen het bestaan van de middelen. Ze regelt de vraag wie het recht heeft op de knop te drukken, en laat het aan de industrie om hem te bouwen, te verkopen, te verbeteren en dan te wachten.

Wat je kunt doen, zonder jezelf iets wijs te maken

Het eerste antwoord dat wordt genoemd is altijd MAC-adresrandomisatie. Die verdient een eerlijke beschouwing, geen aanprijzing en geen afkraken. Ze bestaat echt en ze werkt.

Android vanaf versie 10 en iOS vanaf versie 14 randomiseren standaard het MAC-adres dat via wifi wordt gebruikt, met een apart adres per netwerk. In Bluetooth Low Energy zenden moderne apparaten oplosbare privéadressen uit, die periodiek wisselen en alleen aan het echte apparaat kunnen worden gekoppeld door een tegenpartij die de resolutiesleutel bezit.

De beperkingen ervan zijn even reëel.

Koppelen zet de deur weer open. De resolutiesleutel wordt tijdens het koppelen doorgegeven. Een apparaat dat al gekoppeld of uitdrukkelijk goedgekeurd is, vindt de stabiele identiteit achter het roterende adres terug. Het mechanisme is daarvoor bedoeld.
Veel voorwerpen randomiseren niets. Bandenspanningssensoren, RFID-passen, identificatiechips voor dieren, autoradio’s en goedkope randapparatuur zenden vaste identificatoren uit. Het productblad van Leonardo noemt precies deze categorieën, wat geen toeval is.
Randomisatie kan worden uitgeschakeld. Ze wordt per netwerk uitgezet, en dat gebeurt vaak uit gemak, voor MAC-filtering op een thuisrouter of vanwege bedrijfsbeleid.
De groep overleeft het wisselen van identificatoren. Dat is het minst intuïtieve en belangrijkste punt. SignalTrace zoekt geen identificator, het zoekt een verzameling apparaten die samen reizen. Als één enkel lid van de groep een vaste identificator uitzendt, blijft de hele verzameling toewijsbaar, hoe gedisciplineerd de andere ook zijn.

De doeltreffendste maatregel blijft de saaiste: niet uitzenden. Dat betekent Bluetooth en wifi op systeemniveau uitschakelen, in de instellingen, en niet vanuit het snelmenu. Dat onderscheid is niet cosmetisch, we hebben het uiteengezet in ons artikel over de permanente locatiebepaling van de telefoon: op de meeste consumentensystemen verbreekt de knop in het snelmenu de zichtbare koppeling maar laat de softwarestack in leven, en de nabijheidsanalyses gaan door. Dat artikel beschreef Bluetooth-scanning als een theoretische vector. SignalTrace is het commerciële product ervan, in de catalogus en leverbaar.

We moeten eerlijk blijven over het resultaat: deze maatregelen verkleinen het blootstellingsoppervlak, ze heffen het niet op. Een voertuig blijft een kenteken, en een kenteken blijft leesbaar. De enige manier om niets uit te zenden is niets bij je te dragen, en dat is geen overheidsbeleid.

Wat dit zegt over onze ontwerpkeuzes

Bij Arpokrat is het deze redenering die ons ertoe heeft gebracht Bluetooth op het niveau van de Core van ArpokratOS af te handelen in plaats van op het niveau van de instellingen. Een schakelaar in een interface is een gebruikersvoorkeur: een update, een systeemtoepassing of een locatiedienst kan die omzeilen of weer aanzetten, zonder dat de gebruiker het weet. Een afwezige stack kan niet opnieuw worden geactiveerd.

Tegenover een opvang als die van SignalTrace maakt dat een apparaat uiteraard niet onvindbaar, en dat beweren we ook niet: een telefoon blijft op een mobiel netwerk, en de andere voorwerpen in een voertuig zenden voor eigen rekening uit. Wat het wel garandeert, is dat één specifieke zendvector per constructie afwezig is in plaats van uitgeschakeld op vertrouwen. Dat is de stelling die we verdedigden over 5G en de doelfout van het recht: de juridische bescherming richt zich op de toegang tot de gegevens terwijl ze zou moeten gaan over het bestaan zelf van de infrastructuur die ze voortbrengt. SignalTrace is daar de illustratie van, met dit verschil dat deze infrastructuur in Europa wordt gebouwd.

Conclusie

Het opvallendste in dit dossier is niet de technische capaciteit, die onderzoekers al jaren beschrijven. Het is de manier van uitrollen.

Er komt geen nieuw cameranetwerk om in te wijden, geen gemeentelijk besluit om aan te vechten, geen overheidsopdracht die als een verandering van aard herkenbaar is. Er komen modules die aan bestaande masten worden toegevoegd, onder bestaande contracten, binnen reeds goedgekeurde programma’s. Op de dag dat het publieke debat opengaat, zal de infrastructuur geïnstalleerd, afgeschreven en in de onderzoeksprocedures geïntegreerd zijn. Het debat zal dan gaan over de voorwaarden voor toegang tot een bestand dat bestaat, nooit over de wenselijkheid het te hebben aangelegd.

Dat is de gebruikelijke gang van zaken op het gebied van toezicht, en die is niet toevallig. De vraag is of Europa vindt dat het iets te zeggen heeft wanneer zijn eigen industriëlen, geruggensteund door zijn eigen staten, deze infrastructuur voor anderen bouwen. Het Europese recht heeft het antwoord zorgvuldig georganiseerd op de vraag wie deze gegevens bij ons mag raadplegen. Het heeft nooit de vraag gesteld wie het recht heeft de machine te bouwen.

5G, locatiegegevens en de verkeerde focus van het recht

Tue, 18 Aug 2026 00:00:00 +0000

In 2011 vroeg de politie van Detroit een mobiele operator om de zendmastgegevens van de telefoon van Timothy Carpenter. Zij kreeg 12.898 locatiepunten verspreid over 127 dagen, ongeveer honderd per dag. Zeven jaar later oordeelde het Hooggerechtshof van de Verenigde Staten dat dit verzoek een doorzoeking vormde en een bevel vereiste.

Die 12.898 punten kwamen van masten van de vierde generatie, die elk een straal van meerdere kilometers bestreken. Dezelfde vraag, vandaag gericht aan een stedelijk 5G-netwerk, zou geen honderd punten per dag opleveren met een marge van enkele kilometers. Zij zou een veel groter volume opleveren, met een marge van enkele tientallen meters.

De techniek is van schaal veranderd. De juridische redenering is op dezelfde plek in de keten blijven staan.

Een rechtsgoed dat rechters aan beide zijden van de Atlantische Oceaan erkennen

Er bestaat een belang dat vrijwel iedereen erkent en dat vrijwel geen enkele tekst doeltreffend beschermt: het recht om ergens te zijn zonder dat dit feit wordt vastgelegd.

De Europese rechtspraak heeft het ondubbelzinnig vastgesteld. In Digital Rights Ireland (gevoegde zaken C-293/12 en C-594/12, 8 april 2014) en vervolgens in Tele2 Sverige en Watson (gevoegde zaken C-203/15 en C-698/15, Grote kamer, 21 december 2016) oordeelde het Hof van Justitie van de Europese Unie dat deze gegevens, in hun geheel beschouwd, zeer precieze conclusies mogelijk maken over het privéleven van personen: dagelijkse gewoonten, verblijfplaatsen, verplaatsingen, verrichte activiteiten en sociale relaties.

Het Hooggerechtshof van de Verenigde Staten kwam tot een verwante conclusie in Carpenter v. United States, 585 U.S. 296 (2018). Het benadrukte een punt dat de Amerikaanse rechtsleer uitvoerig heeft becommentarieerd: het onontkoombare en automatische karakter van die verzameling. Niemand stemt ermee in aan een zendmast te worden gekoppeld; men is het omdat men een ingeschakelde telefoon heeft.

Het rechtsgoed bestaat dus, en het wordt erkend door de twee rechtscolleges die er in deze materie toe doen. Het probleem ligt elders.

Wat 5G werkelijk heeft veranderd

Een veelvoorkomende verwarring bestaat erin locatie te behandelen als een gegeven dat de telefoon verzendt, net als een bericht of een foto. Dat is niet zo. Locatie is een fysiek gevolg van de werking van het netwerk. De operator weet aan welke mast het toestel is gekoppeld omdat hij dat moet weten om een oproep te routeren. Er bestaat geen sleutel om die informatie te versleutelen, want het gaat niet om inhoud maar om een eigenschap van de verbinding zelf.

Precies dat maakt 5G juridisch relevant, en niet technisch.

Eerdere architecturen berustten op brede cellen. Een 4G-mast bedient doorgaans een straal van meerdere kilometers, en de louter uit de koppeling afgeleide positie werd in de stad in honderden meters uitgedrukt, op het platteland soms in tientallen kilometers. 5G berust op massale verdichting: stedelijke cellen bestrijken doorgaans enkele honderden meters, en de technische literatuur rekent met dichtheden in de orde van veertig tot vijftig basisstations per vierkante kilometer, tegenover vier of vijf in het 3G-tijdperk.

Het gevolg is mechanisch. Volgens de white paper van Ericsson over 5G-positiebepaling haalt de infrastructuur die alleen voor connectiviteit is uitgerold een nauwkeurigheid van twintig tot vijftig meter buiten en van één tot drie meter binnen, en zakt zij onder de meter in gunstige stedelijke omstandigheden. Het gaat niet om een ergens ingeschakelde locatiefunctie, maar om wat het netwerk van bouw af weet, zonder dat er een app is geïnstalleerd of een toestemming is verleend. Al deze mechanismen, en de tegenmaatregelen die echt werken, hebben wij uitgewerkt in ons artikel over de permanente geolocatie van de telefoon.

De inbreuk is dus met meerdere ordes van grootte toegenomen. Het toepasselijke juridische kader blijft dat wat voor 2G en 3G is bedacht. Geen enkele normatieve aanpassing heeft die schaalverandering begeleid.

Het recht beschermt de toegang, niet het ontstaan

Het Europese recht regelt zorgvuldig wie toegang mag krijgen tot locatiegegevens, onder welke voorwaarden en onder welk toezicht. Richtlijn 2002/58/EG legt het beginsel van vertrouwelijkheid van communicatie vast, en het Hof van Justitie oordeelde in La Quadrature du Net (gevoegde zaken C-511/18, C-512/18 en C-520/18, Grote kamer, 6 oktober 2020) dat artikel 15, lid 1, van die richtlijn, gelezen in het licht van de artikelen 7, 8, 11 en 52, lid 1, van het Handvest, zich verzet tegen een algemene en ongedifferentieerde bewaring van verkeers- en locatiegegevens bij wijze van preventie. Het Hof aanvaardde niettemin afgebakende uitzonderingen wanneer een lidstaat wordt geconfronteerd met een ernstige bedreiging van de nationale veiligheid die werkelijk en actueel of voorzienbaar blijkt, mits er doeltreffend toezicht is.

Dit zijn echte waarborgen, en het zou absurd zijn ze te bagatelliseren. Maar ze grijpen allemaal achteraf in. Ze veronderstellen dat het gegeven bestaat en wordt bewaard, en regelen vervolgens de voorwaarden voor het gebruik ervan.

Als locatie echter een onvermijdelijk bijproduct van de netwerkwerking is, dan is het relevante aangrijpingspunt niet de vertrouwelijkheid. Het is de persistentie.

Een momentane positie, nodig om een communicatie te routeren en meteen daarna gewist, is geen surveillance-instrument. Een maandenlang bewaarde positiegeschiedenis is dat wel, ongeacht de toegangswaarborgen eromheen.

Het verschil tussen beide is niet juridisch maar architecturaal. En de Europese agenda maakt de kwestie dringend in plaats van theoretisch. De Commissie heeft het voorstel voor een ePrivacyverordening ingetrokken in 2025, bij gebrek aan overeenstemming tussen de medewetgevers. Zij werkt sindsdien aan een afzonderlijk instrument over dataretentie voor strafrechtelijke doeleinden, aangekondigd voor 2026 en bedoeld om nationale regimes te harmoniseren die uiteen zijn gaan lopen sinds de nietigverklaring van de richtlijn van 2006. Met andere woorden: de tekst die voor een decennium het regime van locatiemetadata zal vastleggen, wordt op dit moment geschreven, op basis van een redenering die is bedacht in het tijdperk van kilometergrote cellen.

Het precedent dat 5G zelf heeft geschapen

Het interessantste aan het dossier is dat het juiste antwoord al in de technische norm staat, maar op een ander voorwerp is toegepast.

Tot en met 4G reisde de permanente abonnee-identificatie, de IMSI, onversleuteld over de radio-interface bij het aanmelden. Dat maakte de IMSI-catchers mogelijk, die valse basisstations die volgens de referentiebeschrijving van de Electronic Frontier Foundation sterker uitzenden dan legitieme masten om toestellen aan te trekken en hun identificatie op te vangen.

Sinds Release 15 van de 3GPP-specificaties, gepubliceerd in 2019, biedt 5G een elegant antwoord. De permanente identificatie, nu SUPI genoemd, kan op de radio-interface worden vervangen door de SUCI, een verhulde identificatie die wordt verkregen door het abonnee-specifieke deel te versleutelen met elliptische-krommecryptografie, met de publieke sleutel van de thuisoperator. Alleen het thuisnetwerk, dat de bijbehorende privésleutel bezit, kan haar ontsleutelen. Het resultaat is bij elke berekening uniek, wat correlatie van de ene sessie naar de andere verhindert.

De gekozen logica verdient onderstreping, want zij is precies die welke de wetgever zou moeten leiden: men versleutelt niet de positie, wat technisch onmogelijk zou zijn, men versleutelt de identiteit. Een positie zonder toewijsbare identiteit heeft zeer beperkte waarde voor geïndividualiseerde surveillance.

De zwakke plek: een facultatieve bescherming

Er is echter een aanzienlijk voorbehoud, en dat is naar ons oordeel het meest concrete aangrijpingspunt van het hele dossier.

De white paper NIST CSWP 36A, in maart 2026 gepubliceerd door het National Institute of Standards and Technology, zegt het onomwonden. Toestellen en netwerkfuncties die aan Release 15 of later voldoen, moeten de SUCI ondersteunen, maar de activering ervan blijft facultatief voor de operator. Er moeten drie voorwaarden samenvallen: de apparatuurleverancier moet het ondersteunen, de operator moet het op zijn netwerk inschakelen, en de simkaart moet de voor de berekening benodigde elementen bevatten.

Daar komt een configuratieval bij. De norm voorziet in een nul-beschermingsschema, waarbij het SUCI-formaat formeel wordt gebruikt maar zonder werkelijke versleuteling, zodat de identificatie onversleuteld reist. NIST schrijft dat de operator zijn netwerk met een niet-nul beschermingsschema moet configureren, en herinnert eraan dat een rapport van CSRIC, het adviesorgaan van de Federal Communications Commission, al in 2021 aanbeval het nulschema uitsluitend voor te behouden aan noodoproepen vanaf een toestel dat het netwerk niet kent.

De formulering verdient het om zo te blijven staan. De best beschikbare bescherming tegen het volgen van mobiele toestellen bestaat sinds 2019 in de technische norm. Zij berust op een configuratiekeuze die aan het oordeel van de operator is overgelaten. Een Amerikaanse federale instantie acht het in 2026 zinvol een document te publiceren om eraan te herinneren dat men haar zou moeten inschakelen. En geen enkel Europees rechtsinstrument schrijft haar voor.

Daaraan moet worden toegevoegd dat de SUCI het onderwerp niet afsluit. Het werk dat is gepresenteerd onder de titel 5G SUCI-catchers: still catching them all? documenteert koppelingsaanvallen waarmee sessies ondanks de versleuteling opnieuw kunnen worden gecorreleerd, en de bescherming valt volledig weg als de aanvaller het toestel dwingt terug te vallen op een oudere generatie. Een wettelijke verplichting zou dus niet alles oplossen. Zij zou niettemin een kloof wegnemen waarvoor geen verdedigbare rechtvaardiging bestaat: die tussen wat de norm toelaat en wat commerciële netwerken doen.

Drie samenhangende ingrepen

Wie de gedachte serieus neemt dat locatie door ontwerp moet worden geminimaliseerd in plaats van achteraf beschermd, komt logischerwijs op drie maatregelen uit.

De effectieve verhulling van de identificatie verplicht stellen. De activering van de SUCI opleggen en nul-beschermingsschema’s op commerciële netwerken verbieden, afgezien van het restgeval van noodoproepen. Het gaat er niet om een nieuwe technologie voor te schrijven of een uitrol te financieren, maar om de activering te eisen van een functie die zeven jaar geleden is gestandaardiseerd en al in de apparatuur aanwezig is.
Bewaring als uitzondering behandelen, niet als standaard. De positie die nodig is om een communicatie te routeren zou moeten worden gewist zodra die functie is vervuld. Het opbouwen van een geschiedenis zou een specifieke rechtvaardiging moeten vergen. Dat is het verschil tussen een netwerk dat weet waar u bent en een netwerk dat zich herinnert waar u bent geweest.
Het beheer van de sleutel tot het relevante aanknopingspunt maken. De locatie van servers in de Unie betekent weinig als de sleutels waarmee de gegevens leesbaar worden elders liggen. Het juridisch doorslaggevende criterium zou de daadwerkelijke zeggenschap over de ontsleutelingsmiddelen moeten zijn, een vraag die wij uitvoerig hebben onderzocht bij het conflict tussen de Data Act en de CLOUD Act.

De invalshoek die Arpokrat volgt

Deze redenering is niet eigen aan het telecommunicatierecht. Zij is degene die wij op onze eigen architectuurkeuzes toepassen, en zij past in één zin: wat niet is voortgebracht, hoeft niet te worden beschermd.

Daarom verwijdert ArpokratOS gps, bluetooth en NFC op kernelniveau in plaats van ze in een menu uit te schakelen. Een schakelaar is een beleidsregel: hij kan worden omzeild door een bevoorrechte component, opnieuw ingeschakeld door een update, genegeerd door een gecompromitteerd systeem. Het codepad verwijderen laat de vraag vervallen. Het is de vertaling, op de schaal van een apparaat, van dezelfde verschuiving die wij op de schaal van het recht bepleiten: ingrijpen bij het ontstaan in plaats van bij de toegang.

Er moet meteen bij worden gezegd wat dit niet doet. Geen enkel besturingssysteem onttrekt een toestel aan de geometrie van het netwerk. Zolang een simkaart actief is, kent de operator de cel waaraan het toestel is gekoppeld, en al het verkeer via Tor routeren verandert daar niets aan, want dat beschermt inhoud en bestemming, niet de radiolaag. Juist daarom is het onderwerp juridisch. Er bestaat een categorie risico’s die geen enkele individuele configuratie verkleint, en waarvoor de enige beschikbare variabele de regel is die voor de operator geldt.

Dezelfde zorg bepaalt de rest van ons werk. Een gegeven dat niet bestaat, kan niet worden gevorderd, doorverkocht, geëxfiltreerd of over tien jaar ontsleuteld door een machine waarover vandaag niemand beschikt, een kwestie die wij hebben behandeld vanuit de invalshoek van nu geoogste en later gekraakte versleuteling.

Conclusie

Het publieke debat over mobiele surveillance richt zich vrijwel uitsluitend op toegang: wie de gegevens mag raadplegen, op welke grondslag, met welke machtiging. Dat debat is legitiem, en de uitspraken die het Hof van Justitie sinds 2014 heeft gedaan, hebben tastbare gevolgen gehad. Maar het komt te laat in de keten.

De voorafgaande en beslissender vraag is of de geschiedenis moet bestaan. Een bestand dat vandaag om een legitieme reden wordt aangelegd, blijft morgen beschikbaar voor een andere, en de waarborgen eromheen hangen af van latere politieke besluiten die op het moment van verzameling niemand in de hand heeft. Het is een weddenschap op de stabiliteit van instellingen, aangegaan voor een duur die niemand vaststelt.

5G heeft de resolutie van deze informatie vermenigvuldigd zonder dat er enige normatieve aanpassing plaatsvond. Het heeft tegelijk, via het SUCI-mechanisme, aangetoond dat de begaanbare weg erin bestaat positie van identiteit los te koppelen in plaats van te proberen een fysieke eigenschap van het netwerk te versleutelen. De technische norm leverde het antwoord zeven jaar voordat het recht de vraag stelde.

De Europese tekst over dataretentie wordt nu geschreven. Hij zal over metadata gaan, dus over locatie, dus over wat 5G voortaan produceert met een fijnheid die zijn opstellers niet hebben gekend. Of hij zich zal beperken tot het regelen van de toegang tot een als vanzelfsprekend beschouwde geschiedenis, dan wel of hij de noodzaak van die geschiedenis durft te bevragen, is waarschijnlijk de belangrijkste privacyvraag van de komende jaren in Europa. En het is een vraag die de technische sector, voor één keer, al in de goede richting heeft beslecht.

Bronnen

Hof van Justitie van de Europese Unie, Digital Rights Ireland, gevoegde zaken C-293/12 en C-594/12, 8 april 2014
Hof van Justitie van de Europese Unie, Tele2 Sverige en Watson, gevoegde zaken C-203/15 en C-698/15, Grote kamer, 21 december 2016
Hof van Justitie van de Europese Unie, La Quadrature du Net e.a., gevoegde zaken C-511/18, C-512/18 en C-520/18, Grote kamer, 6 oktober 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, maart 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta e.a., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Data Act vs CLOUD Act: wie heeft echt de controle over uw cloudgegevens?

Fri, 19 Jun 2026 00:00:00 +0000

Jarenlang draaide de wereld op een eenvoudige aanname: gegevens hebben een fysieke verblijfplaats. Als ze zich op een server in Dublin bevonden, vielen ze onder het Ierse en Europese recht. Die aanname stortte in 2018 in elkaar, toen de Verenigde Staten de CLOUD Act aannamen — een wet die Amerikaanse autoriteiten toegang geeft tot gegevens die worden beheerd door Amerikaanse bedrijven, ongeacht waar die gegevens fysiek in de wereld zijn opgeslagen. Enkele jaren later reageerde Brussel met zijn eigen beschermingsmaatregel: de Data Act, inmiddels volledig van toepassing, die de extraterritoriale toegang van autoriteiten uit derde landen tot in de Europese Unie opgeslagen gegevens tracht te beperken.

Hier leest u wat deze twee teksten werkelijk bepalen, waar ze met elkaar in botsing komen, en waarom de enige echt robuuste bescherming tegen dit conflict technische ontoegankelijkheid blijft.

De Amerikaanse CLOUD Act: toegang op basis van controle, niet van locatie

De CLOUD Act (Clarifying Lawful Overseas Use of Data Act), aangenomen in maart 2018, wijzigde het Amerikaanse recht door 18 U.S. Code § 2713 toe te voegen. Deze bepaling verplicht elke aanbieder van elektronische communicatiediensten of diensten voor externe computerverwerking om de inhoud van een communicatie of enige bijbehorende registratie te bewaren, veilig te stellen of openbaar te maken, wanneer die gegevens in zijn bezit zijn, onder zijn hoede staan of onder zijn controle vallen, ongeacht of die gegevens zich binnen of buiten de Verenigde Staten bevinden.

Het is precies deze laatste clausule die alles verandert. Het gebruikte criterium is niet langer de fysieke locatie van de server, maar de controle die de moedermaatschappij over haar dochterondernemingen uitoefent. Een Amerikaans bedrijf dat datacenters in Europa exploiteert, blijft dus onderworpen aan Amerikaanse vorderingen, zelfs voor gegevens die volledig op Europees grondgebied zijn opgeslagen.

De Europese Data Act: een juridische barrière tegen extraterritoriale toegang

De Verordening (EU) 2023/2854, ook wel de Data Act genaamd, trad op 11 januari 2024 in werking en is volledig van toepassing sinds 12 september 2025, waarbij bepaalde bepalingen gefaseerd worden ingevoerd tot 2026 en 2027. Artikel 32 regelt rechtstreeks de kwestie van internationale overheidstoegang tot gegevens.

De tekst stelt een duidelijke regel vast: elke beslissing of elk vonnis van een rechtbank of bestuursorgaan van een derde land die een aanbieder van gegevensverwerkingsdiensten verplicht niet-persoonsgebonden gegevens die in de Europese Unie worden bewaard over te dragen of toegankelijk te maken, is uitsluitend erkend en uitvoerbaar als zij is gebaseerd op een internationale overeenkomst, zoals een verdrag voor wederzijdse rechtshulp (MLA), dat van kracht is tussen het verzoekende land en de Unie, of tussen dat land en de betrokken lidstaat.

Bij ontstentenis van een dergelijke overeenkomst voorziet artikel 32 in een tweede weg, maar die is strikt begrensd: de buitenlandse beslissing kan alleen ten uitvoer worden gelegd als het rechtsstelsel van het derde land vereist dat de aanvraag is gemotiveerd, evenredig is en voldoende specifiek is — bijvoorbeeld door een duidelijk verband te leggen met specifieke personen of strafbare feiten — en als het gemotiveerde bezwaar van de geadresseerde kan worden voorgelegd aan een bevoegde rechter in dat derde land.

Een rechtstreekse juridische botsing

Het probleem is onmiddellijk duidelijk: de CLOUD Act eist openbaarmaking op basis van de controle die de moedermaatschappij uitoefent, zonder een evenredigheidsvoorwaarde die vergelijkbaar is met die van het Europese recht. De Data Act maakt de erkenning van een dergelijk verzoek daarentegen afhankelijk van het bestaan van een internationale overeenkomst of van specifieke procedurele waarborgen. Een Amerikaans bedrijf dat in Europa actief is en door een Amerikaanse autoriteit wordt gelast om in de Unie opgeslagen gegevens over te dragen, bevindt zich dus gevangen tussen twee tegenstrijdige wettelijke verplichtingen: voldoen aan het Amerikaanse bevel en daarmee het Unierecht schenden, of de Data Act naleven en zich blootstellen aan de gevolgen van een weigering in de Verenigde Staten.

Deze spanning is niet theoretisch. Ze is al gedocumenteerd door het Hof van Justitie van de Europese Unie (CJEU) in twee baanbrekende uitspraken: Schrems I (2015) en Schrems II (2020). In het arrest Schrems II oordeelde het CJEU dat de Amerikaanse surveillance op grond van Sectie 702 van FISA (Foreign Intelligence Surveillance Act) en Executive Order 12333 niet voldoet aan de minimumwaarborgen die het Unierecht stelt op grond van het evenredigheidsbeginsel, en derhalve niet kan worden geacht beperkt te zijn tot hetgeen strikt noodzakelijk is. Het Hof wees er ook op dat er voor betrokkenen in de Unie geen effectieve rechterlijke rechtsmiddelen beschikbaar zijn, in strijd met artikel 47 van het Handvest van de grondrechten. Deze uitspraak vernietigde het Privacy Shield-kader, dat tot dan toe de gegevensoverdrachten tussen de EU en de Verenigde Staten regelde.

Het structurele risico: Harvest Now, Decrypt Later

Naast het jurisdictieconflict hangt er een sluipende dreiging boven gegevens die worden gehost op infrastructuur die onder Amerikaans recht valt: de strategie die bekend staat als Harvest Now, Decrypt Later (HNDL). Het principe houdt in dat een inlichtingendienst of vijandige staatsactor vandaag al versleutelde gegevens onderschept en opslaat, in afwachting van voldoende kwantumberekenvermogen om die in de toekomst te ontsleutelen.

Deze strategie maakt elke langdurige afhankelijkheid van een Amerikaanse cloudinfrastructuur tot een uitgestelde beveiligingsschuld: wat vandaag vertrouwelijk is, kan over tien of vijftien jaar leesbaar worden, zonder dat de aanvaller verdere actie hoeft te ondernemen — enkel tijd en geduld.

Waarom alleen technische ontoegankelijkheid een echte garantie biedt

De juridische analyse convergeert naar een conclusie die door veel compliance-experts wordt gedeeld: hoe solide het wettelijke kader van de Data Act ook is, het blijft een tekst die door geopolitieke machtsverhoudingen en diplomatieke druk kan worden omzeild, vertraagd of herinterpreteerd. De enige bescherming die niet afhankelijk is van toekomstige onderhandelingen is technische onuitvoerbaarheid.

Een zero knowledge-architectuur, waarbij de dienstverlener nooit de beschikking heeft over de ontsleutelingssleutels en er ook nooit voogdij over heeft, maakt een vordering materieel onwerkzaam. Men kan niet worden gedwongen af te geven wat men nooit in bezit heeft gehad.

Dit is de logica die ecosystemen zoals Arpokrat structureert:

Jurisdictionele neutralisering: de infrastructuur wordt gehost in Zwitserland, onder het regime van de federale wet op de gegevensbescherming (LPD/FADP), buiten het directe toepassingsgebied van de extraterritorialiteit van de CLOUD Act
Geen bewaarplicht: de zero knowledge-architectuur ontneemt de dienstverlener elke mogelijkheid om sleutels of inhoud af te geven die hij nooit bezit
Vermindering van de identiteitsvoetafdruk: door de verplichting tot registratie via telefoonnummer of e-mailadres te elimineren — identifiers die door surveillance op grond van Sectie 702 van FISA gemakkelijk kunnen worden gevolgd — houdt de gebruiker op een identificeerbaar abonnee te zijn en wordt hij een anonieme cryptografische sleutel

De bewakingsketen stopt niet bij berichtversleuteling

Een punt dat in compliance-analyses vaak wordt onderschat: het is niet voldoende om de inhoud van een communicatie te versleutelen als het onderliggende besturingssysteem — Android of iOS — metadata of telemetrie op kernelniveau blijft vastleggen en naar servers stuurt die onder de Amerikaanse jurisdictie vallen. De bescherming van vertrouwelijkheid vereist een volledige sluiting van de bewakingsketen, van de inhoud tot de hardware-infrastructuur zelf.

Dat is waarom digitale soevereiniteit ook reflectie vereist over het gebruikte besturingssysteem, niet alleen over berichtenapps. Ontgegoogelde systemen, waarbij modules zoals Bluetooth of GNSS-geolocatie rechtstreeks op kernelniveau kunnen worden uitgeschakeld, elimineren fysieke aanvalsvectoren die geen enkele applicatieversleuteling kan compenseren.

Post-kwantumcryptografie: een horizon die al in zicht is

In het licht van de dreiging die de HNDL-strategie vormt, wordt de adoptie van post-kwantumcryptografiestandaarden (PQC) een noodzaak voor iedereen die de vertrouwelijkheid van gevoelige gegevens op de lange termijn wil waarborgen — of het nu gaat om bedrijfsgeheimen, professionele correspondentie of gezondheidsgegevens. Versleuteling die vandaag robuust wordt geacht op basis van klassieke standaarden, biedt geen garantie dat zij bestand zal zijn tegen de kwantumberekencapaciteiten die in de komende vijftien jaar worden verwacht.

Het conflict tussen de Data Act en de CLOUD Act illustreert een bredere werkelijkheid: digitale soevereiniteit kan niet langer uitsluitend worden gebouwd op wetteksten, hoe solide die ook zijn. Het vereist een volledige sluiting van de bewakingsketen op elk niveau — van het versleutelingsprotocol tot de hostingjurisdictie, inclusief het besturingssysteem zelf. Het is deze gelaagde aanpak — in plaats van vertrouwen dat op één enkel regelgevend kader berust — die vandaag een echte digitale soevereiniteit door ontwerp definieert.

Het einde van privacy? Backdoors, Online Safety Act en de reactie van soevereine ecosystemen

Wed, 10 Jun 2026 00:00:00 +0000

Londen is het epicentrum geworden van een wereldwijde strijd om de toekomst van digitale privacy. Met de aanname van de Online Safety Act 2023 (OSA) and recente voorstellen tot herziening van de Investigatory Powers Act (IPA) — door critici de “Snoopers’ Charter” genoemd —, eigent de Britse regering zich het recht toe om bewakingsverplichtingen op te leggen in het hart van privécommunicatie. Het breekpunt is de bevoegdheid die aan toezichthouder OFCOM is verleend om te eisen dat platforms “geaccrediteerde technologie” inzetten om materiaal van seksueel kindermisbruik (CSEA) of terrorisme te detecteren, inclusief binnen end-to-end versleutelde communicatie.

Voor grote digitale platforms is de boodschap uit Westminster ondubbelzinnig: of ze faciliteren toegang voor de staat tot hun infrastructuren, of ze riskeren boetes die kunnen oplopen tot 10% van hun wereldwijde omzet. De reactie was onmiddellijk: diensten als Signal en WhatsApp hebben publiekelijk gedreigd zich terug te trekken uit de Britse markt, omdat ze weigeren de veiligheid van hun gebruikers in gevaar te brengen om aan één enkele jurisdictie te voldoen. Het technische argument is onweerlegbaar: er bestaat geen loper of moedersleutel die exclusief is voorbehouden aan legitieme actoren. Een open deur voor wetshandhavers is, per definitie, een open deur voor cybercriminelen en buitenlandse inlichtingendiensten.

Het verdienmodel van grote platforms: een structurele hindernis voor Zero-Knowledge

De weerstand van grote platforms tegen de adoptie van Zero-Knowledge-encryptie wordt niet verklaard door technische onbekwaamheid, aleen door een fundamentele economische onverenigbaarheid. Bedrijven als Alphabet en Meta leunen op verdienmodellen die zijn gebaseerd op de systematische verzameling van gedragsgegevens. Dit model wordt overigens impliciet erkend door de Digital Markets Act (DMA) van de Europese Unie, die deze “poortwachters” (gatekeepers) aanmerkt als entiteiten wiens dominante positie juist wordt gevoed door de accumulatie van gegevens op een ongeëvenaarde schaal. Voor deze actoren zou het adopteren van een Zero-Knowledge-architectuur betekenen dat hun advertentiesystemen worden beroofd van de continue identificatie van gebruikers die de brandstof ervan vormt. Het is dan ook geen technische keuze, maar een afweging tussen de privacy van de gebruiker en de levensvatbaarheid van hun bedrijfsmodel.

Het strategische risico: de “Harvest Now, Decrypt Later” dreiging

Voorbij het debat over privacy werpt de verzwakking van encryptie een nationale veiligheidskwestie op van een heel andere omvang. De strategie die bekendstaat als Harvest Now, Decrypt Later (HNDL) houdt in dat statelijke tegenstanders vandaag massale hoeveelheden versleutelde communicatie onderscheppen en opslaan, in afwachting van toekomstige kwantum-decryptiecapaciteiten. Door de huidige encryptiestandaarden te verzwakken, faciliteert het Britse wettelijke kader objectief dit soort operaties tegen regerings-, diplomatieke of industriële communicatie.

Het is precies in deze context van een vertrouwenstekort dat ecosystemen zoals dat van Arpokrat operationele relevantie verkrijgen. Door te opereren onder het regime van de Zwitserse Federale Wet op de Gegevensbescherming (WGB/FADP), met een architectuur die geen civiele identificatiemiddelen verzamelt, biedt Arpokrat een technische breuk met infrastructuren die onderworpen zijn aan de Britse jurisdictie — wat garandeert dat het systeem doof blijft voor de bevelen die door de OSA zijn voorzien.

Het conflict van normen: OSA en IPA versus Europees recht

De juridische analyse van de nieuwe Britse staatsprerogatieven onthult een directe botsing met de fundamenten van het Europees recht inzake gegevensbescherming en de vertrouwelijkheid van communicatie.

OSA versus het verbod op algemeen toezicht

Artikel 121 van de OSA introduceert de mogelijkheid voor OFCOM om bevelen uit te vaardigen die platforms verplichten tot het implementeren van client-side scanning (client-side scanning). Deze maatregel druist rechtstreeks in tegen het principe, ontleend aan het Europees recht en verankerd in de jurisprudentie van het HvJ-EU, dat algemene toezichtsverplichtingen verbiedt. Door een “kwetsbaarheid door ontwerp” op te leggen, brengt het bedrijven tevens in een spagaat: door hun beveiliging te verzwakken om aan een staatsmandaat te voldoen, schieten ze tekort in hun verplichting om een passend beveiligingsniveau voor de verwerking te waarborgen, zoals vastgelegd in artikel 32 van de GDPR.

De ePrivacy-richtlijn en de vertrouwelijkheid van communicatie

Het scannen van privéberichten is in directe strijd met artikel 5, lid 1, van Richtlijn 2002/58/EG (ePrivacy), dat lidstaten verplicht de vertrouwelijkheid van elektronische communicatie te waarborgen en elke vorm van interceptie of surveillance verbiedt zonder de uitdrukkelijke toestemming van de betrokken gebruikers.

Technical Capability Notices en het blokkeren van beveiligingsupdates

Onder het regime van de IPA 2016 is de Britse regering nu van plan om Technical Capability Notices (TCN) te gebruiken om zich te verzetten tegen beveiligingsupdates voordat ze worden uitgerold. Dit mechanisme creëert een onoplosbaar conflict met de verplichting, gesteld door artikel 32 van de GDPR, om de continue beveiliging van verwerkingssystemen te garanderen — een verplichting die juist de capaciteit vereist om patches toe te passen zonder uitstel of externe inmenging.

Compliance-risico’s voor bedrijven die actief zijn in Europa

De herzieningen van de IPA zijn erop gericht bedrijven te verplichten de Britse regering op de hoogte te stellen van elke technische wijziging die de beveiliging beïnvloedt, voorafgaand aan de implementatie ervan, waardoor zij effectief een vetorecht krijgt over de productontwikkeling. Deze inmenging veroorzaakt aanzienlijke rechtsonzekerheid voor leveranciers die actief zijn op de Europese markt: de Britse adequaatheid voor Europees recht — die al broos is — zou ter discussie kunnen worden gesteld als het VK niet langer een bescherming garandeert die substantieel gelijkwaardig is aan die van de GDPR. Datatransfers naar het VK onder dit nieuwe kader zouden bedrijven bijgevolg blootstellen aan sancties op grond van de GDPR.

Verdediging door technische onmogelijkheid: het Zero-Knowledge-principe als juridisch schild

De internationale jurisprudentie, geconsolideerd door de arresten Schrems I en Schrems II van het HvJ-EU, heeft een doorslaggevend principe vastgesteld: de enige robuuste waarborg tegen buitensporige surveillance is de technische onmogelijkheid om er toegang toe te krijgen. Zero-Knowledge-architecturen vertalen dit principe in drie beschermingslagen:

Afwezigheid van bewaring: aangezien het platform niet beschikt over de decryptiesleutels, is elk bevel om berichten te scannen technisch onuitvoerbaar;
Soevereiniteit van het besturingssysteem: de controle over ArpokratOS elimineert de telemetrie die inlichtingengaarring op apparaatniveau voedt;
Zwitserse jurisdictionele verankering: door zijn infrastructuur in Zwitserland te hosten, opereert Arpokrat onder een wettelijk regime dat geïndividualiseerde en gemotiveerde verzoeken om wederzijdse rechtshulp vereist, wat de geautomatiseerde uitvoering van de massale scans zoals voorzien door de OSA neutraliseert.

Conclusie

De bepalingen van de OSA en de herzieningen van de IPA vormen niet alleen een bedreiging voor de privacy van individuen: ze vertegenwoordigen een inbreuk op de rechtszekerheid voor alle Europese gegevens die passeren via infrastructuren die onderworpen zijn aan de Britse jurisdictie. Door de verzwakking van encryptie te legitimeren in het belang van de openbare veiligheid, stelt Londen zijn bondgenoten en handelspartners paradoxaal genoeg bloot aan risico’s op industriële en statelijke spionage die Zero-Knowledge-architecturen juist ontworpen zijn te voorkomen.

De integriteit van professionele en institutionele communicatie vereist nu een structureel antwoord: de migratie naar gedecentraliseerde ecosystemen die digitale soeveriniteit garanderen, vanaf het codeniveau tot aan de jurisdictionele verankering.

De Tijdbom: Nu verzamelen, later ontsleutelen en de Zero-Knowledge Imperatief

Tue, 26 May 2026 00:00:00 +0000

De afhankelijkheid van Europese regeringen van Amerikaanse cloudinfrastructuur vormt meer dan alleen een direct interceptieprobleem. De meest verwoestende dreiging is de strategie HNDL: “Harvest Now, Decrypt Later”.

Dit is geen frontale inbraak, maar een stille diefstal. Inlichtingendiensten slaan vandaag enorme hoeveelheden versleutelde gegevens op, simpelweg omdat de opslagkosten verwaarloosbaar zijn geworden.

Ze wachten geduldig op het moment waarop technologische sprongen de huidige cryptografische sleutels overbodig maken. Wat in 2026 een beschermd staatsgeheim is, kan over vijftien jaar een open boek zijn.

Retroactieve Aansprakelijkheid en Temporeel Risico

Het HNDL-model introduceert een nieuw concept: uitgestelde juridische schade. Met de massale verzameling van gegevens wordt vertrouwelijkheid een tijdsafhankelijke variabele.

Het HNDL-model definieert dat vertrouwelijkheid onvermijdelijk faalt wanneer de vereiste levensduur van het geheim de decryptie-horizon van de tegenstander overschrijdt.

Als een staat de absolute soevereiniteit van zijn hardware-infrastructuur niet garandeert, tekent hij in de praktijk een afstandsverklaring van langdurige vertrouwelijkheid voor zijn burgers.

De interceptie van vandaag is de inbreuk van morgen. Cloud-afhankelijkheid veranderen in een nationale veiligheidsschuld is een gok die onmogelijk terug te betalen is.

De Arpokrat Antithese: Juridische Onmogelijkheid door Code

De industrie reageert door radicale ecosystemen voor digitale soevereiniteit te creëren. Het Arpokrat-model werkt op een gedecentraliseerd netwerk, beschermd door de strikte Zwitserse Federale Wet inzake Gegevensbescherming (FADP).

De kernlogica is absolute Privacy by Design. Door de noodzaak van een telefoonnummer weg te nemen, wordt de gebruiker een simpele cryptografische sleutel.

Juridisch gezien, als de architectuur fundamenteel Zero-Knowledge is, staat het bedrijf voor een technische onmogelijkheid om te voldoen aan buitenlandse bevelen.

Dit is een onstuitbare wiskundige en juridische waarborg: wat je niet hebt, kan niet openbaar worden gemaakt.

Voorbij Encryptie: De Waarde van de Doeldata Verminderen

De ware respons in de Arpokrat messaging app is niet wedden op eeuwige wiskunde, maar de data zelf devalueren.

Zonder centrale metadata om een bericht aan een fysiek individu te koppelen, verliest de versleutelde inhoud zijn strategische waarde omdat het on-attribueerbaar wordt.

Software alleen kan echter niets doen als de hardware het verraadt.

Veiligheid in de 21e eeuw vereist de onafhankelijkheid van de machine zelf. Het inzetten van een soeverein de-Googled OS is een absolute overlevingsvereiste geworden voor iedereen die met staatsgeheimen omgaat.